Beleid voor het melden van kwetsbaarheden

Reikwijdte

Binnen de reikwijdte

1. De webapplicatie en het cliëntportaal van DutchDataroom op [app.example.nl] en de API onder [app.example.nl/api].
2. De inlogpagina’s van DutchDataroom op [auth.example.nl].
3. Onze publieke website op [www.example.nl].

Buiten de reikwijdte

1. Systemen, netwerken en apparaten van onze klanten, hun cliënten en andere gasten, ook als zij DutchDataroom gebruiken.
2. Diensten van onze subverwerkers. Meld kwetsbaarheden in die diensten bij de betreffende aanbieder. Denkt u dat het probleem specifiek DutchDataroom raakt, dan mag u het ons ook laten weten.
3. Test-, staging- en demo-omgevingen die hierboven niet genoemd zijn.
4. Fysieke beveiliging van kantoren en datacenters.

Meldingen die wij meestal niet als kwetsbaarheid behandelen

Tenzij u een concrete impact aantoont, behandelen wij de volgende meldingen meestal niet als kwetsbaarheid:

1. Uitvoer van geautomatiseerde scanners zonder geverifieerde, misbruikbare bevinding.
2. Ontbrekende security-headers, cookie-instellingen of best practices zonder aangetoonde aanval.
3. Clickjacking op pagina’s zonder gevoelige handelingen.
4. Ontbrekende of strikte SPF-, DKIM- of DMARC-records zonder aangetoonde spoofing van ons domein.
5. Self-XSS en aanvallen waarvoor volledige controle over het apparaat of de browser van het slachtoffer nodig is.
6. Versievermeldingen en softwareversies zonder werkende exploit.
7. Ontbrekende rate limits op handelingen die niet beveiligingsrelevant zijn.

Regels voor testen

U handelt binnen dit beleid als u zich aan al deze regels houdt:

1. Gebruik alleen uw eigen accounts of testaccounts die u van ons hebt gekregen. Hebt u een testorganisatie nodig, vraag die dan aan via het meldadres. [Testorganisaties op aanvraag.] Probeer niet in te loggen als iemand anders en raad of brute-force geen wachtwoorden of codes van accounts die niet van u zijn.
2. Blijf weg bij klantgegevens. Bekijk, kopieer, wijzig of verwijder geen documenten, berichten, bestandsnamen, indextitels of andere gegevens van onze klanten, hun cliënten of gasten. Toon een kwetsbaarheid aan met de kleinst mogelijke stap, bijvoorbeeld door te laten zien dat u in een dataroom van uw eigen testorganisatie een document kunt lezen dat u niet zou mogen lezen.
3. Komt u toch klantgegevens tegen, stop dan direct. Kijk niet verder, kopieer, bewaar of deel niets, en verwijder wat u al hebt opgeslagen. Vermeld in uw melding in algemene termen wat u zag (bijvoorbeeld “een documentenlijst van een andere organisatie”), zonder de inhoud te herhalen. Deze gegevens kunnen onder de geheimhoudingsplicht van de advocaat vallen.
4. Verstoor de dienst niet. Geen denial-of-service- of belastingtests, geen massale registraties of mailings, en beperk geautomatiseerd testen tot hooguit [5] verzoeken per seconde.
5. Richt u niet op mensen. Geen phishing, social engineering, spam of druk op onze medewerkers, klanten, hun cliënten of gasten.
6. Installeer niets blijvends, zoals backdoors of webshells, en gebruik een kwetsbaarheid niet om andere systemen binnen te dringen. Uploads om te testen moeten onschadelijk zijn; het EICAR-testbestand is toegestaan in uw eigen testorganisatie.
7. Houd het vertrouwelijk. Deel geen informatie over de kwetsbaarheid met anderen totdat wij die hebben opgelost of de openbaarmakingstermijn uit paragraaf 6 is verstreken.
8. Meld snel, en in elk geval binnen [7] dagen na het ontdekken van de kwetsbaarheid.

Alleen wij kunnen u toestemming geven om DutchDataroom binnen deze regels te testen. Wij kunnen geen toestemming geven namens onze klanten om hun gegevens in te zien, en dit beleid doet dat ook niet.

Hoe u meldt

Stuur uw melding naar onderstaand adres. U mag in het Nederlands of Engels schrijven.

Vermeld zo mogelijk:

1. Een beschrijving van de kwetsbaarheid en het getroffen onderdeel van de dienst (URL, API-endpoint of component).
2. De stappen om de kwetsbaarheid te reproduceren, en een proof of concept als u die hebt.
3. De impact die u verwacht, in uw eigen woorden.
4. Het moment waarop u testte en de testaccounts die u gebruikte.
5. Hoe wij u kunnen bereiken. U mag onder een pseudoniem melden.

Neem geen klantgegevens, schermafbeeldingen met klantgegevens of persoonsgegevens van anderen op in uw melding.

Wat u van ons mag verwachten

1. Wij bevestigen de ontvangst binnen [3] werkdagen.
2. Binnen [10] werkdagen sturen wij u onze beoordeling, waaronder of wij de melding als kwetsbaarheid zien en hoe ernstig die is.
3. Wij houden u ten minste elke [14] dagen op de hoogte van de voortgang, totdat de kwetsbaarheid is opgelost.
4. Wij streven ernaar kwetsbaarheden na onze beoordeling op te lossen binnen deze termijnen, op basis van de ernst volgens CVSS v4.0: kritiek [7] dagen, hoog [30] dagen, gemiddeld [90] dagen, laag [180] dagen. Hebben wij meer tijd nodig, dan leggen wij uit waarom.
5. Wij behandelen uw melding vertrouwelijk. Wij delen uw naam en contactgegevens niet zonder uw toestemming met derden, tenzij de wet ons daartoe verplicht. (review: bekendmaking van de identiteit van de melder aan een klant of autoriteit, zie paragraaf 7)
6. Als u dat wilt, noemen wij u met naam op [onze dankpagina] zodra de kwetsbaarheid is opgelost.

Gecoördineerde openbaarmaking

Wij vragen u de kwetsbaarheid niet openbaar te maken voordat die is opgelost, of tot [90] dagen na uw melding, als dat eerder is. De datum van publicatie spreken wij met u af. Duurt een oplossing om goede redenen langer, dan vragen wij u vóór het einde van de termijn om uitstel. Moeten klanten zelf maatregelen nemen, dan informeren wij hen eerst. Wij kunnen zelf een advisory publiceren en noemen u daarin als u dat wilt.

Vrijwaring (safe harbour)

Als u te goeder trouw en binnen dit beleid handelt:

1. Doen wij geen aangifte en starten wij geen juridische procedure tegen u vanwege uw onderzoek. (review: formulering van de vrijwaring en de grenzen ervan)
2. Beschouwen wij uw onderzoek als door ons toegestaan, voor zover het onze eigen systemen betreft.
3. Maken wij, als een derde, zoals een klant, tegen u optreedt vanwege onderzoek binnen dit beleid, duidelijk dat u volgens dit beleid hebt gehandeld.

Houd rekening met deze grenzen:

1. Wij kunnen het Openbaar Ministerie niet binden. Zonder toestemming binnendringen in een geautomatiseerd werk kan strafbaar zijn (artikel 138ab Wetboek van Strafrecht). Door u aan dit beleid te houden, laat u zien dat u te goeder trouw handelt. (review: actueel beleid van het OM over responsible disclosure)
2. Wij zijn verwerker voor onze klanten. Gaf uw onderzoek toegang tot hun gegevens, dan kan onze verwerkersovereenkomst ons verplichten dit als datalek aan de betrokken klanten te melden. In die melding beschrijven wij wat er is gebeurd, maar noemen wij u niet, tenzij u daarmee instemt of de wet dat vereist. (review)
3. De vrijwaring geldt niet als u de regels uit paragraaf 3 overtreedt, bijvoorbeeld door klantgegevens te bewaren of te delen, of als u ons probeert af te persen.

Geen bug bounty

Wij betalen op dit moment geen beloning voor meldingen. Wij kunnen naar eigen inzicht een kleine blijk van waardering geven, maar dat is nooit een voorwaarde van dit beleid.

Uw persoonsgegevens

Wij gebruiken uw contactgegevens en uw melding alleen om de melding af te handelen, met u te communiceren en, met uw toestemming, u te bedanken. Wij bewaren ze tot [2] jaar na het afsluiten van de melding. Onze privacyverklaring is van toepassing.

Wijzigingen en toepasselijk recht

Wij kunnen dit beleid wijzigen. De versie bovenaan geeft aan welke versie geldt; een melding wordt behandeld volgens de versie die gold op het moment dat u die verstuurde. Op dit beleid is Nederlands recht van toepassing.